Resumo Técnico: Pré-treinado, Congelado, Ainda com Vazamento

1. Declaração do Problema

O artigo aborda uma lacuna crítica na auditoria de privacidade de Modelos de Fundação de EEG (EEG-FMs), como BIOT, LaBraM e EEGPT. As avaliações de privacidade atuais tipicamente avaliam os embeddings liberados (representações intermediárias) contra um único endpoint: reconstrução da forma de onda bruta, inferência de membros, vinculação de identidade ou privacidade diferencial (DP) no cabeçalho de aplicação (downstream head).

Os autores argumentam que essas auditorias de endpoint único são insuficientes. Um embedding liberado pode falhar em suportar uma reconstrução de alta fidelidade da forma de onda bruta ou mostrar sinais fracos de inferência de membros, mas ainda assim preservar atributos espectrais decodáveis (ex: estruturas de Densidade Espectral de Potência centradas) relevantes para os estados do sujeito. Além disso, os resultados de vinculação de identidade são frequentemente mal interpretados; uma forte recuperação de identidade em configurações de "mesmo sujeito" não implica recuperação para sujeitos "mantidos fora" (aqueles que não estão no conjunto de treinamento/referência). O problema central é a falta de um framework de auditoria conjunta que avalie simultaneamente todos os quatro endpoints para determinar se uma decisão de liberação é segura, focando especificamente em se os atributos espectrais vazam entre diferentes encoders e datasets.

2. Metodologia

O artigo propõe uma auditoria de privacidade de representação com controle de divisão que força cada reivindicação de privacidade a sobreviver a controles de falsificação específicos.

2.1 Modelo de Ameaça

• Vítima: Um serviço de EEG-FM que libera embeddings (não formas de onda brutas).
• Atacante: Possui um conjunto de sombra de janelas de EEG e pode treinar decodificadores a partir de embeddings liberados para atributos espectrais. Para vinculação de identidade, o atacante possui um conjunto de referência de sujeitos candidatos.
• Objetivos:
  1. Recuperação de Atributos: Inferir atributos espectrais (PSD centrada) a partir de embeddings.
  2. Vinculação de Conjunto de Referência: Atribuir um embedding a um sujeito conhecido em um conjunto de referência.
  3. Auditoria de Privacidade: Testar se as defesas (ruído, gargalos, DP) reduzem o vazamento sem destruir a utilidade.

2.2 Protocolo de Auditoria & Controles

A auditoria avalia os embeddings sob quatro endpoints padrão, mas aplica controles de divisão rigorosos para evitar reivindicações excessivas:

• Verificação de Cópia Bruta (Raw-Copy Check): Verifica se janelas adjacentes são quase duplicatas (similaridade de cosseno $\ge$ 0,99).
• Divisão de Gap Temporal (Temporal-Gap Split): Separa as janelas por tempo para descartar artefatos de janelas adjacentes.
• Divisão de Sujeitos Disjuntos (Subject-Disjoint Split): Garante que os sujeitos de treino e teste não se sobreponham. Este é o controle crítico para o vazamento de atributos de sujeitos mantidos fora. A vinculação de identidade não é reivindicada aqui, pois as identidades candidatas estão ausentes.
• Identidade de Conjunto de Referência: A vinculação de identidade (BPID@1) só é avaliada quando existem sujeitos candidatos no conjunto de referência do atacante.
• Controles Negativos: Todo resultado de vazamento é comparado contra embeddings gaussianos aleatórios e embeddings permutados localmente por divisão para estabelecer uma linha de base.

2.3 Framework Teórico

Os autores introduzem um Teorema de Ponte entre Encoders (Cross-Encoder Bridge Theorem) e uma Pontuação de Desacordo de Endpoint de Auditoria (AEDS):

• Transferibilidade de Ponte: Eles provam que, se dois encoders compartilham uma sobreposição de projetor de coordenadas de atributo não trivial ($\beta$), um decodificador de atributo ridge treinado em um encoder congelado pode ser transferido para a divisão de teste de sujeito mantido fora de outro encoder via uma ponte linear ajustada. O limite inferior de ganho é derivado como $\sqrt{\beta/(1 + \tau^2_t)} - \epsilon_{br} - \rho_0$.
• AEDS: Uma regra de decisão definida como $AEDS = L_A - \max(R_M, R_I)$, onde $L_A$ é o ganho de vazamento de atributo, $R_M$ é o resíduo de inferência de membros e $R_I$ é o resíduo de vinculação de identidade. Um AEDS positivo indica que o vazamento de atributo é o fator de risco decisivo, mesmo que outros endpoints pareçam seguros.

2.4 Avaliação de Defesa

A auditoria testa defesas padrão:

• Ruído Gaussiano: Adicionado aos embeddings.
• Gargalos & Dropout: Redução dimensional e remoção de coordenadas.
• DP-SGD: Fine-tuning diferencialmente privado do cabeçalho de aplicação com clipping por amostra e contabilidade RDP.
• Atacante Adaptativo: Um atacante ciente de ruído do tipo Wiener que pré-branqueia (pre-whitens) os embeddings com base nos níveis de ruído conhecidos.

3. Resultados Principais

3.1 Vazamento de Atributo Espectral

Através de oito configurações de avaliação (BIOT, LaBraM, EEGPT no EEGMMI; LaBraM no Sleep-EDF, LIMO, CHB-MIT), os atributos espectrais são consistentemente recuperáveis a partir dos embeddings.

• Vazamento de Sujeito Disjunto: Em todas as divisões de sujeitos disjuntos, o ganho de PSD centrada permanece significativamente positivo (limites inferiores de IC de 95% variando de 0,157 a 0,487) contra controles negativos correspondentes.
• Transferência Cross-Encoder: Um decodificador ridge único treinado em um encoder (ex: BIOT) transfere-se com sucesso para as divisões de sujeitos mantidos fora de outros encoders (LaBraM, EEGPT) via uma ponte linear. A sobreposição de projetor $\beta$ implícita é estimada em $[0,008, 0,198]$.
• Relevância de Implementação: Em uma tarefa de classificação de estágio de sono Sleep-EDF, um atacante alcançou 70,4% de acurácia em sujeitos mantidos fora, superando significativamente os controles, mesmo com ruído gaussiano ($\sigma=1,0$).

3.2 Escopo de Vinculação de Identidade

• Vinculação de Conjunto de Referência: Uma forte vinculação de identidade (BPID@1 até 0,950) é observada apenas quando o atacante possui um conjunto de referência contendo os sujeitos candidatos (divisões de mesmo sujeito ou sobreposição).
• Sujeitos Mantidos Fora: Nenhuma recuperação de identidade é reivindicada para divisões de sujeitos disjuntos. O artigo distingue explicitamente entre "vinculação de conjunto de referência" (possível) e "recuperação de identidade de sujeito mantido fora" (não demonstrada).

3.3 Desacordo de Endpoint (AEDS)

• Falha de Endpoint Único: Auditorias padrão (cópia bruta, inferência de membros, identidade de conjunto de referência) frequentemente liberam a versão. Por exemplo, as AUCs de inferência de membros foram baixas (0,50–0,70) e a reconstrução bruta foi negativa.
• Falha de Auditoria Conjunta: O AEDS foi positivo em todas as oito células de IC correspondentes de sujeitos disjuntos ($p < 0,001$). Isso significa que o sinal de vazamento de atributo é forte o suficiente para bloquear uma decisão de liberação, mesmo quando os endpoints de membros e identidade sugerem segurança.

3.4 Falha de Defesa

• Ruído & DP: O ruído gaussiano padrão e o DP-SGD no cabeçalho de aplicação falharam em fechar o canal de atributo enquanto mantinham a utilidade.
  • Em $\epsilon \in \{4, 8\}$ preservadores de utilidade, o ganho de atributo permaneceu estatisticamente indistinguível da linha de base não privada.
  • Somente em $\epsilon=1$ o ganho de atributo caiu, mas a utilidade da tarefa colapsou (a acurácia balanceada caiu abaixo dos portões operacionais).
• Ataques Adaptativos: Um atacante adaptativo ciente de ruído (estilo Wiener) melhorou o desempenho sobre as linhas de base não adaptativas, mas não fechou o gap de privacidade; o canal de atributo permaneceu aberto.
• Gargalos/Dropout: Essas transformações reduziram ligeiramente a vinculação de identidade, mas deixaram o vazamento de atributo positivo.

4. Significância e Reivindicações

O artigo faz uma reivindicação negativa e delimitada sobre a privacidade dos embeddings de EEG-FM:

1. Embeddings não são uma fronteira de privacidade para atributos espectrais: Embeddings liberados de BIOT, LaBraM e EEGPT vazam atributos espectrais decodificáveis (PSD centrada) para sujeitos mantidos fora, mesmo quando a reconstrução da forma de onda bruta e a inferência de membros são fracas.
2. Auditorias de endpoint único são insuficientes: Depender apenas de reconstrução bruta, inferência de membros ou vinculação de identidade leva a falsos positivos (liberação de embeddings inseguros). O framework AEDS é proposto para detectar esse desacordo.
3. As defesas são atualmente ineficazes: Defesas padrão (ruído, DP, gargalos) não eliminam simultaneamente o vazamento de atributos e preservam a utilidade nos regimes testados.
4. As reivindicações de identidade devem ser delimitadas: Resultados fortes de identidade são válidos apenas para configurações de conjunto de referência (usuários inscritos) e não podem ser extrapolados para sujeitos mantidos fora.

Limitações Reconhecidas pelos Autores:

• As descobertas baseiam-se em datasets (EEGMMI, Sleep-EDF, LIMO, CHB-MIT) e modelos específicos; não se reiventa generalização ao nível populacional para todos os dados de EEG clínico.
• Os resultados teóricos (Teoremas 1-5) são declarações de condições suficientes e modelos estilizados, não parâmetros ajustados para encoders específicos.
• Os experimentos de ruído de treinamento são proxies e não constituem garantias formais de DP.

Conclusão: O artigo conclui que os embeddings de EEG-FM não devem ser tratados como dados desidentificados simplesmente porque não são formas de onda brutas. Um framework de auditoria conjunta que priorize o vazamento de atributos e limites de reivindicação com controle de divisão é necessário antes de liberar tais representações.